ГОСТ Р ИСО/МЭК ТО 13335-4—2007
Т а б л и ц а 8.2.5 — Криптография
Категории
защитных мер
Источники дополнительной информации о категориях защитных пер
РазделыРазделыРазделыРазделыРазделыРазделыРазделыРазделы
и пункты |1] и пункты [3) и пункты [4] и пункты [5J и пункты (6) и пункты [7] и пункты (0) и пункты [9]
1 Защита кон
фиденциальнос
ти данных
10.3.2 4.2.2. 5.2.2.М4
приложе
ние А
19.5.1
—
8.23
8.119.5.1
2 Защита цело
стности данных
10.3.3 4.2.3, 5.2.3.
Ш
приложе
ние А
19.5.2
—
8.23
8.1
19.5.2
3 Неотказуе-
мость
10.3.4 4.2.6. 5.2.6.
приложе
ние А
19.5.3
8.238.1
19.2.3
4 Аутентич
ность данных
10.3.24.2.3, 5.2.3.М4
приложе
ние А
19.5.2
—
8.23
8.1
19.5.2
5 Управление
ключами
10.3.5 4.2.5, 5.2.5.
приложе
ние А
19.3
8.23
8.1
19.3
9 Базовый подход: выбор защитных мер согласно типу системы ИТ
В соответствии с разделом 8 имеются два разных пакета защитных мер. механизмов и/или процедур,
применяемых для защиты системы ИТ. С одной стороны, существуют лишь несколько категорий организа
ционных защитных мер. применяемыхдля каждой системы ИТ в конкретной ситуации (см. 8.1). независимо
от индивидуальных компонентов. Выбор защитных мер рассматривается в 9.1.Так как организация обычно
применяет защитные меры изэтих категорий, их необходимо рассматривать впервую очередь. Более того,
большинство защитных мер являются дорогостоящими, так как они обычно основаны на внедрении орга
низационных структур и процедур.
С другой стороны, имеются специальные защитные меры систем ИТ (см. 8.2). выбор которых зависит
от типа и характеристик рассматриваемой системы ИТ. Выбор таких защитных мер рассматривается в 9.2.
Возможно, что одна или более из этих категорий или специальных защитных мер не применимы к
системе ИТ. Например, шифрование может не потребоваться,если передаваемая или принимаемая инфор
мация не нуждается в конфиденциальности, а целостностьданных может быть проверена иначе. Более
детальный выбор может быть сделан только после рассмотрениядополнительной информации (см. разде
лы 10 и 11).
После того как все типы безопасности, применимые для системы ИТ, идентифицированы, дополни
тельная информация по ним и специальным защитным мерам можетбыть получена в соответствии с разде
лом 8 или использованием одного или более документов, перечисленных в приложениях А — Н. Взаимо
связь категорий защитных мер с типом системы ИТ приведена втаблице 9.2. Перед реализацией выбран
ных защитных мер они должны быть внимательно проверены с существующей и/или планируемой защи
той (см. 7.3).
Для выборадополнительных защитных мер должен быть применен более детальный иханализ (см.
разделы 10 и/или 11). Если защитные меры выбирают по разным критериям (базовые защитные меры и
дополнительная защита), то окончательный пакет защитных мердолжен быть согласован. После анализа
нескольких систем ИТ должна быть рассмотрена возможность развертывания базовой безопасности в мас
штабе всей организации (см. раздел 12).
Другой возможностью выбора защитных мер бездетального рассмотрения этой проблемы является
применение прикладной специальной базовой безопасности, например с использованием справочников по
базовой защите для электросвязи, здравоохранения, банковской системы (см. приложения В. Е и F) и т.д.
7*
25